无法用标准sql循环批量插入数据，因sql无原生循环且不支持动态表名；应使用python等外部脚本，通过白名单校验表名+参数化查询防注入，兼顾安全与跨库兼容性。
怎么用循环批量向多个结构相同的表插入数据
直接用 SQL 写循环不现实——标准 SQL 没有原生 for 循环语法，INSERT 本身也不支持动态表名。真要批量操作，得靠数据库客户端能力或外部脚本驱动。
常见做法是：用 Python/Shell 等语言生成并执行多条 INSERT 语句，或者借助存储过程（如 PostgreSQL 的 DO 块、MySQL 的存储过程），但后者写法复杂、调试难，且跨库兼容性差。
实操建议优先选外部脚本，控制力强、易查错、可复用：
- 用 Python 的
psycopg2（PostgreSQL）或pymysql（MySQL）连接数据库 - 把目标表名列成列表，比如
['sales_2023', 'sales_2024', 'sales_2025'] - 对每个表名拼接
INSERT INTO {table_name} (...) VALUES (...)，再执行 - 务必用参数化查询传入值，别字符串拼接用户数据，否则有 SQL 注入风险
动态表名在 INSERT 里为什么不能直接用变量
因为 SQL 解析器在准备语句阶段就需要确定表结构，而表名属于“对象标识符”，不是运行时表达式。即使你写了 INSERT INTO :table_name，绝大多数数据库会报错：ERROR: syntax error at or near ":" 或类似提示。
像 PostgreSQL 的 EXECUTE + format()、SQL Server 的 sp_executesql 能绕过，但必须在存储过程中使用，且需显式拼接字符串——这就意味着你要自己校验表名合法性，防止注入（比如表名含分号或 drop table）。
实操中更稳妥的做法是：预先定义白名单表名，或从 information_schema.tables 查询确认存在后再拼接，而不是无条件信任输入。
Python 脚本示例：安全拼接表名 + 批量插入
下面这段代码适用于 PostgreSQL，重点在如何避免表名注入和值注入两个风险点：
import psycopg2
from psycopg2 import sql
<p>conn = psycopg2.connect("dbname=test user=me")
cur = conn.cursor()</p><h1>白名单控制表名来源</h1><p>target_tables = ['log_jan', 'log_feb', 'log_mar']</p><h1>共享的插入数据（每行对应一条记录）</h1><p>data_rows = [('2024-01-01', 'user_a', 100), ('2024-01-02', 'user_b', 200)]</p><p>for table_name in target_tables:</p><h1>用 sql.Identifier 防止表名注入</h1><pre class="brush:php;toolbar:false;">insert_query = sql.SQL("INSERT INTO {} (date, user_id, amount) VALUES %s").format(
sql.Identifier(table_name)
)
cur.execute(insert_query, [data_rows])conn.commit() cur.close() conn.close()
注意三点：
-
sql.Identifier()是 psycopg2 提供的安全包装，专用于动态对象名（表、列、schema） -
VALUES %s中的%s是 psycopg2 的占位符语法，和底层数据库无关，自动处理类型转换 - 如果数据量大，别用单次
execute插多行，改用execute_batch或execute_values（来自psycopg2.extras），否则容易内存溢出或超时
MySQL 用户要注意的兼容性坑
MySQL 不支持 VALUES %s 这种批量写法，也没有等价的 sql.Identifier。你得手动过滤表名，比如：
- 用正则
re.match(r'^[a-zA-Z_][a-zA-Z0-9_]*$', table_name)校验是否只含合法字符 - 禁止任何带点号、反引号、空格的输入，哪怕它语法上合法
- 插入多行时改用
executemany("INSERT INTO ... VALUES (%s, %s, %s)", data_rows)，但注意 MySQL 默认限制 max_allowed_packet，大批量要调大
另外，MySQL 8.0+ 支持 CTE 和窗口函数，但依然不支持动态表名——别指望用 WITH t AS (...) INSERT INTO t 绕过去，那只是临时结果集，不是真实表名。
真正麻烦的是跨环境迁移：同一套脚本在 PostgreSQL 里跑得好好的，换到 MySQL 就得重写表名拼接逻辑和批量插入方式。这种差异往往被低估，上线前一定要在目标环境实测。
